البرمجة النصية عبر التطبيقات

تُعدّ ثغرة البرمجة النصية عبر التطبيقات ( CAS ) ثغرة أمنية تُصيب تطبيقات سطح المكتب التي لا تتحقق من المدخلات بشكل شامل. تسمح هذه الثغرة للمهاجم بإدخال بيانات تُعدّل سلوك تطبيق سطح مكتب مُعيّن، مما يُتيح له استخراج البيانات من داخل أنظمة المستخدمين. قد يحصل المهاجمون على كامل صلاحيات التطبيق المُستهدف عند استغلال ثغرات CAS؛ ويُعتبر هذا الهجوم مُستقلًا إلى حدٍ ما عن نظام التشغيل الأساسي وبنية الأجهزة.

تم اكتشاف هذه التقنية في البداية من قبل إيمانويل جنتيلي، وقُدّمت بالتعاون مع باحثين آخرين (أليساندرو سكوشيا وإيمانويل أكري) شاركا في دراسة هذه التقنية وآثارها، وقد عُرضت لأول مرة خلال قمة الأمن لعام 2010 في ميلانو . ^{[ 1 ] [ 2 ] [ 3 ]}

يُشابه هجوم سلسلة التنسيق هذا الهجوم في مفهومه، ويمكن اعتبار CAS تعميمًا لأسلوب الهجوم هذا. وقد سبق إثبات بعض جوانب هذه التقنية في تقنيات اختطاف النقرات .

على غرار واجهات الويب، تسمح الأطر الحديثة لتطوير التطبيقات الرسومية (وخاصةً GTK+ و Qt ) باستخدام الوسوم داخل عناصرها الرسومية . إذا تمكن المهاجم من حقن هذه الوسوم، فإنه يستطيع التلاعب بمظهر التطبيق وسلوكه. وقد لوحظت الظاهرة نفسها مع استخدام البرمجة النصية عبر المواقع (XSS) في صفحات الويب، ولذلك سُمّي هذا النوع من السلوك بالبرمجة النصية عبر التطبيقات (CAS).

عادةً ما تتلقى تطبيقات سطح المكتب كمية كبيرة من المدخلات وتدعم عددًا كبيرًا من الميزات، أكثر بكثير من أي واجهة ويب. وهذا يجعل من الصعب على المطور التحقق من تصفية جميع المدخلات التي قد يتلقاها البرنامج من مصادر غير موثوقة بشكل صحيح.

إذا كان البرمجة النصية عبر التطبيقات هي المكافئ التطبيقي لـ XSS في تطبيقات الويب، فإن تزوير الطلبات عبر التطبيقات (CARF) هو المكافئ لتزوير الطلبات عبر المواقع (CSRF) في تطبيقات سطح المكتب.

في CARF تم توسيع مفهوم "الرابط" و "البروتوكول" الموروث من الويب لأنه يشمل مكونات البيئة الرسومية، وفي بعض الحالات، نظام التشغيل.

يتطلب استغلال الثغرات الأمنية التي تُتيح هجمات تزوير الطلبات عبر المواقع (CSRF) تفاعلاً من المستخدم. هذا الشرط ليس عائقًا كبيرًا، إذ يُمكن بسهولة توجيه المستخدم لتنفيذ إجراءات معينة إذا تم تغيير واجهة المستخدم الرسومية بطريقة مُعينة. يُمكن إحداث العديد من التغييرات المُضللة في مظهر التطبيقات باستخدام تقنية CAS، وهي نوع جديد من " التصيد الاحتيالي "، وتتفاقم خطورتها بسبب نقص الأدوات اللازمة لكشف هذا النوع من الهجمات خارج مواقع الويب أو رسائل البريد الإلكتروني.

على عكس تقنيات XSS، التي يمكنها التلاعب بالأوامر وتنفيذها لاحقًا في متصفح المستخدمين، فإنه من الممكن مع CAS التحدث مباشرة إلى نظام التشغيل، وليس فقط إلى واجهته الرسومية.